Вирус зашифровал фото [not-a-virus:AdWare.Win32.ELEX.hp, Trojan.Win64.Agent.dms ]

Printable View

10.01.2016, 21:27
Саша Дектерев

Вложений: 2

Вирус зашифровал фото [not-a-virus:AdWare.Win32.ELEX.hp, Trojan.Win64.Agent.dms ]

И в каждой папке появился файл тхт

[COLOR=#000000][FONT=tahoma]фотографии не открываются, и появился файл со следующим содержанием [/FONT][/COLOR]

[COLOR=#000000][FONT=tahoma]Здравствуйте, все ваши файлы зашифрованы, свяжитесь с нами для их восстановления. [/FONT][/COLOR]
[COLOR=#000000][FONT=tahoma]Для этого откройте ярлык 'Онлайн консультант', который находится на рабочем столе или кликните два раза левой кнопкой мыши на любой зашифрованный файл. [/FONT][/COLOR]

[COLOR=#000000][FONT=tahoma]------------------------------------------------------------— [/FONT][/COLOR]

[COLOR=#000000][FONT=tahoma]Если по каким-то причинам вы не можете связаться с нами через 'Онлайн чат', свяжитесь с нами через оффлайн контакты: [/FONT][/COLOR]
[COLOR=#000000][FONT=tahoma]1) Загрузите 'Tor Browser for Windows', скачать можно тут[/FONT][/COLOR][URL="https://vk.com/away.php?to=https%3A%2F%2Fwww.torproject.org%2Fdownload%2Fdownload-easy.html.en"]https://www.torproject.org/download/download-easy.htm..[/URL][COLOR=#000000][FONT=tahoma] [/FONT][/COLOR]
[COLOR=#000000][FONT=tahoma]2) Установите и запустите 'Tor Browser' [/FONT][/COLOR]
[COLOR=#000000][FONT=tahoma]3) Перейдите по ссылке '[/FONT][/COLOR][URL="https://vk.com/away.php?to=http%3A%2F%2F3qo5aqjlesrudfm3.onion%2F%3Fid%3Dfd23d566%26HashID%3Dd06373a7f12d4f74cf30bed3a005b6bd"]http://3qo5aqjlesrudfm3.onion/?id=fd23d566&HashID..[/URL][COLOR=#000000][FONT=tahoma]' в 'Tor Browser' - (ВНИМАНИЕ, САЙТ ДОСТУПЕН ТОЛЬКО ЧЕРЕЗ 'Tor Browser') [/FONT][/COLOR]
[COLOR=#000000][FONT=tahoma]4) Следуйте инструкциям на сайте [/FONT][/COLOR]

[COLOR=#000000][FONT=tahoma]------------------------------------------------------------— [/FONT][/COLOR]

[COLOR=#000000][FONT=tahoma]ID: fd23d566 [/FONT][/COLOR]
[COLOR=#000000][FONT=tahoma]HashID: d06373a7f12d4f74cf30bed3a005b6bd [/FONT][/COLOR]

[COLOR=#000000][FONT=tahoma]------------------------------------------------------------— [/FONT][/COLOR]

[COLOR=#000000][FONT=tahoma]1) Внимание, 'переустановка/откат' windows не поможет восстановить файлы но может окончательно их повредить и тогда даже мы не сможем их восстановить. [/FONT][/COLOR]
[COLOR=#000000][FONT=tahoma]2) Антивирусы nod32, drweb, kaspersky и т.д вам не помогут расшифровать файлы, даже если вы купите у них лицензию на 10 лет, они вам все равно не восстановят файлы. [/FONT][/COLOR]
[COLOR=#000000][FONT=tahoma]3) Для шифрования файлов используется AES который был создан в 1998г, за 17 лет никто на планете земля не смог взломать алгоритм шифрования, даже АНБ. [/FONT][/COLOR]
[COLOR=#000000][FONT=tahoma]4) Ключ других пользователей вам не подойдет, так как у каждого пользователя уникальный ключ, поэтому не ждите что кто-то оплатит и выложит ключ для расшифровки файлов. [/FONT][/COLOR]

[COLOR=#000000][FONT=tahoma]------------------------------------------------------------— [/FONT][/COLOR]

[COLOR=#000000][FONT=tahoma]Коротко о шифрование 'AES256' на примере 'Winrar', каждый файл помешается в архив 'Winrar', на архив 'Winrar' ставится пароль из 256 символов: [/FONT][/COLOR]
[COLOR=#000000][FONT=tahoma]1) Открыть архив можно только введя пароль [/FONT][/COLOR]
[COLOR=#000000][FONT=tahoma]2) Удалив 'Winrar' файл остается в архиве и открыть его нельзя. [/FONT][/COLOR]
[COLOR=#000000][FONT=tahoma]3) Даже если перенести архив на другой windows, он все еще будет требовать пароль для открытия. [/FONT][/COLOR]
[COLOR=#000000][FONT=tahoma]4) Если вы 'переустановите/откатите' windows, архив 'Winrar' останется архивом и для его открытия все еще потребуется 'Winrar' и пароль из 256 символов. [/FONT][/COLOR]

[COLOR=#000000][FONT=tahoma]------------------------------------------------------------— [/FONT][/COLOR]

[COLOR=#000000][FONT=tahoma]Вы можете ждать пока кто-то через лет 60 взломает алгоритм шифрования AES256 и через 60 лет восстановить файлы или же оплатить ключ и восстановить файлы за пару часов, выбор за вами! [/FONT][/COLOR]
[URL="https://vk.com/away.php?to=https%3A%2F%2Fru.wikipedia.org%2Fwiki%2FAdvanced_Encryption_Standard"]https://ru.wikipedia.org/wiki/Advanced_Encryption_Sta..[/URL]

к сожалению я вроде всё правельно зделал, но не нашол одного файла [B][FONT=Arial][COLOR=#555555]AVZ - virusinfo_syscure.zip[/COLOR][/FONT]
[FONT=Arial][COLOR=#555555]остальные прикреплю, но для меня самое главное востановить фото, если надо, я заплачу, не вопрос. подскажите что делать пожалуйста.[/COLOR][/FONT][/B]
10.01.2016, 21:28
Info_bot

Уважаемый(ая) [B]Саша Дектерев[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
12.01.2016, 11:24
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Windows\syswow64\searchprotectservice.exe','');
QuarantineFile('C:\Windows\system32\searchprotectservice.exe','');
QuarantineFile('C:\Users\костя\AppData\Roaming\WindowsUpdater\Updater.exe','');
QuarantineFile('C:\Program Files (x86)\Common Update\task Update\task.exe','');
QuarantineFile('C:\ProgramData\Medlight\Rantobam.dll','');
QuarantineFile('C:\Users\костя\AppData\Roaming\OdnUqnxVqtAcmfpq4n\encrypter.exe','');
QuarantineFile('C:\ProgramData\Medlight\Biodax.dll','');
QuarantineFile('C:\Program Files (x86)\gmsd_re_005010202\gmsd_re_005010202.exe','');
DeleteService('TSSKX64');
DeleteService('softaal');
DeleteService('QMUdisk');
QuarantineFile('C:\Program Files (x86)\Common Update\vmserve Update\vmserve.exe','');
QuarantineFile('C:\Users\костя\AppData\Local\Car Extension\{B56367AA-9349-611A-90D8-06A6EAECA452}\coioku.dll','');
TerminateProcessByName('c:\program files (x86)\90544180-1452376525-11d5-85d9-001fc666aff5\knst77eb.tmp');
QuarantineFile('c:\program files (x86)\90544180-1452376525-11d5-85d9-001fc666aff5\knst77eb.tmp','');
DeleteFile('c:\program files (x86)\90544180-1452376525-11d5-85d9-001fc666aff5\knst77eb.tmp','32');
DeleteFile('C:\Users\костя\AppData\Local\Car Extension\{B56367AA-9349-611A-90D8-06A6EAECA452}\coioku.dll','32');
DeleteFile('C:\Users\костя\AppData\Local\Car Extension\{B56367AA-9349-611A-90D8-06A6EAECA452}\{F00478CC-5E23-4541-E2B6-2C03A4111712}.dat','32');
DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.1.16923.222\QMUdisk64.sys','32');
DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.1.16923.222\softaal64.sys','32');
DeleteFile('C:\Windows\system32\drivers\tsskx64.sys','32');
DeleteFile('C:\Program Files (x86)\gmsd_re_005010202\gmsd_re_005010202.exe','32');
DeleteFile('C:\ProgramData\Medlight\Biodax.dll','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','gmsd_re_005010202');
DeleteFile('C:\Users\костя\AppData\Roaming\OdnUqnxVqtAcmfpq4n\encrypter.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\EncrypterEpta','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\C','command');
DeleteFile('C:\ProgramData\Medlight\Rantobam.dll','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\TorProject','command');
DeleteFile('C:\Users\костя\AppData\Roaming\OdnUqnxVqtAcmfpq4n\tor\tor.exe','32');
DeleteFile('C:\Windows\system32\Tasks\Car Extension2','64');
DeleteFile('C:\Windows\Tasks\RegClean Pro_DEFAULT.job','32');
DeleteFile('C:\Windows\Tasks\RegClean Pro_UPDATES.job','32');
DeleteFile('C:\Windows\system32\Tasks\task Update','64');
DeleteFile('C:\Windows\system32\Tasks\WindowsUpdater','64');
DeleteFile('C:\Program Files (x86)\Common Update\task Update\task.exe','32');
DeleteFile('C:\Program Files (x86)\RCP\RegCleanPro.exe','32');
DeleteFile('C:\Windows\system32\searchprotectservice.exe','32');
DeleteFile('C:\Windows\syswow64\searchprotectservice.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] в Вашей теме.

[B][COLOR="Red"]Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи[/COLOR][/B]
24.01.2016, 21:00
Саша Дектерев

Вложений: 2

Извените что так долго не отвечал, форс мажор
карантин и новые логи высылаю

Файл сохранён как 160124_214830_quarantine_56a50e6eb174f.zip
Размер файла 2629527
25.01.2016, 22:49
thyrex

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
31.01.2016, 16:49
Саша Дектерев

Вложений: 1

назвал 1.txt
01.02.2016, 21:18
thyrex

Удалите в МВАМ все найденное
07.02.2016, 14:55
Саша Дектерев

пришлось снова запускать проверку, так как не нашол функцию чтобы удалить уже найденные, и удалил все найденые
07.02.2016, 20:04
thyrex

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Полученные в пп. 4 и 5 логи заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.
13.02.2016, 17:35
Саша Дектерев

Вложений: 1

прикрепил
06.03.2016, 14:25
Саша Дектерев

возможно ли востановить фото?
08.03.2016, 10:13
thyrex

Лог FRST.txt где?
08.03.2016, 10:23
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files (x86)\common update\task update\task.exe - [B]not-a-virus:AdWare.Win32.ELEX.hp[/B][*] c:\program files (x86)\common update\vmserve update\vmserve.exe - [B]not-a-virus:AdWare.Win32.ELEX.if[/B][*] c:\programdata\medlight\rantobam.dll - [B]Trojan.Win64.Agent.dms[/B][*] c:\users\костя\appdata\local\car extension\{b56367aa-9349-611a-90d8-06a6eaeca452}\coioku.dll - [B]not-a-virus:WebToolbar.Win32.CrossRider.apnh[/B][*] c:\users\костя\appdata\roaming\windowsupdater\updater.exe - [B]Trojan-Downloader.Win32.Adload.idla[/B][*] c:\windows\system32\searchprotectservice.exe - [B]not-a-virus:AdWare.Win32.SearchProtect.tv[/B][*] c:\windows\syswow64\searchprotectservice.exe - [B]not-a-virus:AdWare.Win32.SearchProtect.tv[/B][/LIST][/LIST]